CVE-2026-100600

ClawHub (openclaw/clawhub tətbiqi/backend) anonim HTTP API sorğularını etibarlı çağırıcı kimliyinə bağlamır, buna görə də bütün birbaşa anonim API sorğuları vahid standart kvota limitini paylaşır. Uzaqdakı autentifikasiya olunmamış çağırıcı həmin ortaq limiti tükədərək digər ziyarətçilər üçün API girişini məhdudlaşdıra və ya xidmətdən imtinaya səbəb ola bilər. Bundan əlavə, TRUST_FORWARDED_IPS seçimi autentifikasiya olunmuş kənar/proksi olmadan aktivləşdirildikdə, kliyentlər istədikləri kvota kimliklərini seçmək və sürət məhdudiyyətindən (rate limiting) yan keçmək üçün ixtiyari forwarded IP başlıqları təqdim edə bilərlər. Problem cbfee7343ddc867316dd9b3de6fa8856730f9f41 reviziyasında təsdiqlənmişdir; təsirə məruz qalan tam tarixçə aralığı müəyyən edilməmişdir. Bu problem 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 reviziyasında (PR #3684) düzəldilmişdir; burada birbaşa anonim çağırışlar kvotanı istifadə etmədən ictimai API mənşəyinə yönləndirilir və saxtalaşdırılmış kimlik iddiaları HTTP 401 xətasını qaytarır. npm CLI və OpenClaw runtime ayrı məhsullardır və bu problemi əhatə etmir.